Cryakl/CryLock - этапы "большого пути"

RSS

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 31.03.2020 10:14:46

Первая информация о шифраторе Cryakl опубликована на securelist.ru в октябре 2014 года.

Цитата
В процессе заражения троянец создает мастер-ключ, который отправляет по почте своим хозяевам. Впоследствии на основе этого мастер-ключа генерируется уникальный ключ для каждого шифруемого файла. При этом файл шифруется не целиком, а лишь первые 29 байт плюс три блока, расположенные в случайных местах файла. Кроме того, в конец файла помещается служебная структура, содержащая: - информацию о размере и расположении зашифрованных блоков, - MD5-хэши от оригинального файла и его заголовка, - константы для генерации файлового ключа из мастер-ключа и хэш для проверки его правильности, - ID жертвы, - оригинальное имя зашифрованного файла, - метку заражения {CRYPTENDBLACKDC}.

Цитата

В процессе заражения троянец создает мастер-ключ, который отправляет по почте своим хозяевам. Впоследствии на основе этого мастер-ключа генерируется уникальный ключ для каждого шифруемого файла. При этом файл шифруется не целиком, а лишь первые 29 байт плюс три блока, расположенные в случайных местах файла. Кроме того, в конец файла помещается служебная структура, содержащая:

- информацию о размере и расположении зашифрованных блоков,
- MD5-хэши от оригинального файла и его заголовка,
- константы для генерации файлового ключа из мастер-ключа и хэш для проверки его правильности,
- ID жертвы,
- оригинальное имя зашифрованного файла,
- метку заражения {CRYPTENDBLACKDC}.

скорее всего, Cryakl известен с начала 2014 года

ранние версии:
ver-4.0.0.0
пример зашифрованного файла:
gpgsh378.zip.id-{SXDJPVBHMSYDJPVAGMRXCINTZFKQWBHNTYEK-28.01.2015 13@18@508370589}[email protected]

известные почты:

[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]

примеры автозапуска в системе:

Ссылка HKLM\Software\Microsoft\Windows\CurrentVersion\Run\progrmma
progrmma C:\Program Files\temp\WINRAR.EXE

ver-6.1.0.0
пример зашифрованного файла:
qyfmtbhovbipwcjpxdkqxdlrzfmsag.nub.id-{EJPUBGLRXCINTYEJPUAFLQWBHMSYDIOUZEKQ-12.03.2015 11@22@168550646}[email protected]

известные почты:

[email protected]
[email protected]
[email protected]
[email protected]

возможно, их гораздо больше
примеры автозапуска в системе:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\progrmma
C:\Program Files\1\svchost.exe

ver-8.0.0.0
пример зашифрованного файла:
iqxeltzgoubiqwdkryfmtahowcjqxe.lta.id-{ZFKPWCHMSYDJPUZFLQVBHMSYDJOUAFKQWBHM-30.03.2015 12@49@155029625}[email protected]

известные почты:

[email protected]
[email protected]

примеры автозапуска в системе:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\progrmma
C:\Program Files\xexe\info.exe

ver-CL 0.0.1.0

пример зашифрованного файла:
[email protected] 0.0.1.0.id-SBGKPTXBEIMPUYBFJMQUYCFJNQVZCGJNRVZD-05.05.2015 23@[email protected]

известные почты:

[email protected]
[email protected]
[email protected]
[email protected]

примеры автозапуска в системе:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\pr
C:\Program Files\monitor.exe

ver-CL 1.0.0.0

пример зашифрованного файла:
[email protected] 1.0.0.0.id-NTZXEKPVBHMSYDIOUZFLRWCHNSYEJPVBGLRX-15.07.2015 13@[email protected]
видим, что закодированное имя перемещено в конец заголовка.

известные почты:

[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
email- [email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]

примеры автозапуска в системе:

ссылка: HKLM\Software\Microsoft\Windows\CurrentVersion\Run\pr
C:\Program Files\simpleinf.exe

ver-CL 1.0.0.0u

пример зашифрованного файла:

известные почты:

[email protected]
[email protected]_graf1
[email protected]_mod
[email protected]_mod2

ver-CL 1.1.0.0

пример зашифрованного файла:
[email protected] 1.1.0.0.id-TBHMTZDJPVAFLRWCHNSYEJOUAFKQWBHMSYDI-06.08.2015 14@[email protected]
известные почты:

[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]

примеры автозапуска в системе:

ссылка: HKLM\Software\Microsoft\Windows\CurrentVersion\Run\pr
C:\Program Files\1C\карточка предприятия.exe

ver-CL 1.2.0.0

пример зашифрованного файла:
[email protected] 1.2.0.0.id-YELRXEJPWBHOTZFLRXDJPUBHMTZELRWCKQWC-29.04.2016 17@[email protected]

известные почты:

[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
! [email protected]
[email protected]
[email protected]
email-age_empires@ aol.com

примеры автозапуска в системе:

ссылка: HKLM\Software\Microsoft\Windows\CurrentVersion\Run\pr
C:\Program Files\service.exe

ver-CL 1.3.0.0
пример зашифрованного файла:
[email protected] 1.3.0.0.id-WCHMSXBGLPUZEJOTYDHMRWBFKPUZEINSXCHM-24.05.2016 20@[email protected]
известные почты:

[email protected]
[email protected]

примеры автозапуска в системе:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\sopropool
C:\Program Files\tr.exe

ver-CL 1.3.1.0

пример зашифрованного файла:

известные почты:

[email protected][email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected][email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
...

примеры автозапуска в системе:

Ссылка HKLM\Software\Microsoft\Windows\CurrentVersion\Run\00F5-A4D1
00F5-A4D1 C:\Program Files\WinRar\резюме.exe

fairytail (CL 1.4.0.0, CL 1.4.1.0, CL 1.5.0.0)

пример зашифрованного файла:

[email protected] 1.4.0.0.id-3908370012-23.03.2018 10@[email protected]Правила поведения вахтеров.jpg.fairytail

известные почты:

[email protected]
[email protected]

примеры автозапуска в системе:

HKEY_USERS\S-1-5-21-1417001333-1004336348-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Run\3908370012
C:\DOCUME~1\user\LOCALS~1\Temp\bd.exe

doubleoffset (CL 1.5.1.0)

пример зашифрованного файла:
[email protected] 1.5.1.0.id-1747396157-41244152820380734004031.fname-Правила поведения вахтеров.jpg.doubleoffset

известные почты:

[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]

примеры автозапуска в системе:
HKEY_USERS\S-1-5-21-1645522239-854245398-682003330-1003\Software\Microsoft\Windows\CurrentVersion\Run\1747396157
C:\DOCUME~1\user\LOCALS~1\Temp\XEKOVAFKPT.exe

CS 1.6.0.0

пример зашифрованного файла:

известные почты:

[email protected]
[email protected]
[email protected]

CS 1.7.0.1
пример зашифрованного файла:
desktop.ini[CS 1.7.0.1][[email protected]].git
известные почты:

[email protected]

CS 1.8.0.0
пример зашифрованного файла:
branding.xml[[email protected]][2094653670-1579267651].whv
известные почты:

[email protected]
[email protected]
[email protected]

CryLock 1.9.0.0

Опознан как

sample_bytes: [0x3472F - 0x3473D] 0x7B454E4352595054454E4445447D

https://id-ransomware.malwarehunterteam.com/identify.php?case=5e55ddb65eac5f52e424de270004ffeeef08563f

пример зашифрованного файла:
VTS_01_0.BUP[[email protected]][special].[10ABB6A7-867BCEF7]

известные почты:

[email protected]
[email protected]
[email protected]

[ Как создать образ автозапуска? ]

Ответы

Пред. 1 2 3 4 5

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 17.03.2023 07:21:34

Цитата
Екатерина Савичева написал: Добрый день. Были зашифрованы файлы на ПК в локальной сети. Шифровальщик неизвестен, тело вируса не было найдено. (Шифровальщик [[email protected]]) В архивах записка с требованиями, оригинальный файл и его зашифрованная версия. Логов с зараженного ПК нет. Возможно ли расшифровать?

Цитата

Екатерина Савичева написал:
Добрый день.
Были зашифрованы файлы на ПК в локальной сети. Шифровальщик неизвестен, тело вируса не было найдено.
(Шифровальщик [[email protected]])
В архивах записка с требованиями, оригинальный файл и его зашифрованная версия.
Логов с зараженного ПК нет.

Возможно ли расшифровать?

Файлы расшифрованы:

[2023.03.17 14:16:54.885] - .::EEEEEE:::SSSSSS::..EEEEEE..TTTTTTTT.. Win32/Filecoder.NHT
[2023.03.17 14:16:54.893] - .::EE::::EE:SS:::::::.EE....EE....TT...... Version: 1.0.0.7
[2023.03.17 14:16:54.897] - .::EEEEEEEE::SSSSSS::.EEEEEEEE....TT...... Built: Mar 15 2023
[2023.03.17 14:16:54.899] - .::EE:::::::::::::SS:.EE..........TT......
[2023.03.17 14:16:54.901] - .::EEEEEE:::SSSSSS::..EEEEEE.....TT..... Copyright © ESET, spol. s r.o.
[2023.03.17 14:16:54.902] - ..::::::::::::::::::.................... 1992-2023. All rights reserved.

[2023.03.17 14:16:54.996] -
[2023.03.17 14:16:54.999] - INFO: Cleaning file [[email protected]\forum.esetnod32.ru\2021-11-26 Потураев дефицит кадров на 2022.doc[[email protected]].[558B2224-694565F3]]
[2023.03.17 14:17:08.563] - INFO: Found key.
[2023.03.17 14:17:08.563] - INFO: Original filename: [2021-11-26 Потураев дефицит кадров на 2022.doc]
[2023.03.17 14:17:08.600] - INFO: Cleaned.
[2023.03.17 14:17:08.609] -

[2023.03.17 14:17:26.419] - INFO: 5 encrypted file(s) found.
[2023.03.17 14:17:26.420] - INFO: 5 file(s) decrypted.
[2023.03.17 14:17:26.422] - INFO: 0 file(s) NOT decrypted.
[2023.03.17 14:19:15.508] - End

[ Как создать образ автозапуска? ]

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 17.03.2023 07:29:01

Цитата
akok akok написал: Появились ключи для некоторых версий CryLock (2.0.0.0, 1.9.2.1 и 1.8.0.0).

ESET выпустил универсальный дешифратор по данным ключам по всем версиям 2.0.0.0, 1.9.2.1 и 1.8.0.0

[ Как создать образ автозапуска? ]

Сообщений: 1

Регистрация: 19.03.2023

Размещено 19.03.2023 22:05:46

Цитата

santy написал:

Цитата
akok akok написал: Появились ключи для некоторых версий CryLock (2.0.0.0, 1.9.2.1 и 1.8.0.0).

ESET выпустил универсальный дешифратор по данным ключам по всем версиям 2.0.0.0, 1.9.2.1 и 1.8.0.0

а где его можно взять?

Изменено: Алексей Пичугин - 19.03.2023 22:09:34

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 20.03.2023 02:42:03

Цитата

Алексей Пичугин написал:

Цитата

santy написал:

Цитата
akok akok написал: Появились ключи для некоторых версий CryLock (2.0.0.0, 1.9.2.1 и 1.8.0.0).

ESET выпустил универсальный дешифратор по данным ключам по всем версиям 2.0.0.0, 1.9.2.1 и 1.8.0.0

а где его можно взять?

дешифратор рассылается для обратившихся в техническую поддержку за помощью в расшифровке после атаки шифровальщика Crylock в течение 2021-2023 года.

[ Как создать образ автозапуска? ]

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 20.03.2023 08:27:11

Цитата
Илья Пегов написал: Добрый день! Помогите с расшифровкой. Злоумышленник зашел по RDP подобрав пароль. Машина была выключена, зашифровано не до конца. snowdenV.7z - предположительно исполняемый файл шифровальщика. послание.7z - оставлено злоумышленником файлы.7z - зашифрованные файлы для примера Лицензия NOD32 имеется

Цитата

Илья Пегов написал:
Добрый день! Помогите с расшифровкой.
Злоумышленник зашел по RDP подобрав пароль.
Машина была выключена, зашифровано не до конца.
snowdenV.7z - предположительно исполняемый файл шифровальщика.
послание.7z - оставлено злоумышленником
файлы.7z - зашифрованные файлы для примера
Лицензия NOD32 имеется

Файлы расшифрованы:

[2023.03.20 15:25:31.333] - --------------------------------------------------------------------------------
[2023.03.20 15:25:31.352] -
[2023.03.20 15:25:31.367] - INFO: Cleaning file [[email protected]\doc20211021215756.pdf[[email protected]].[3162D52F-1134390B]]
[2023.03.20 15:25:35.532] - INFO: Found key.
[2023.03.20 15:25:35.532] - INFO: Original filename: [doc20211021215756.pdf]
[2023.03.20 15:25:35.624] - INFO: Cleaned.
[2023.03.20 15:25:35.627] -
[2023.03.20 15:25:35.627] - INFO: Cleaning file [[email protected]\doc20211021220215.pdf[[email protected]].[3162D52F-1134390B]]
[2023.03.20 15:25:39.821] - INFO: Found key.
[2023.03.20 15:25:39.821] - INFO: Original filename: [doc20211021220215.pdf]
[2023.03.20 15:25:39.835] - INFO: Cleaned.
[2023.03.20 15:25:39.838] -
[2023.03.20 15:25:39.838] - INFO: Cleaning file [[email protected]\doc20211021221524.pdf[[email protected]].[3162D52F-1134390B]]
[2023.03.20 15:25:43.969] - INFO: Found key.
[2023.03.20 15:25:43.969] - INFO: Original filename: [doc20211021221524.pdf]
[2023.03.20 15:25:43.982] - INFO: Cleaned.
[2023.03.20 15:25:44.031] - --------------------------------------------------------------------------------
[2023.03.20 15:25:44.033] - INFO: 3 encrypted file(s) found.
[2023.03.20 15:25:44.034] - INFO: 3 file(s) decrypted.
[2023.03.20 15:25:44.035] - INFO: 0 file(s) NOT decrypted.
[2023.03.20 15:25:46.162] - End

[ Как создать образ автозапуска? ]

Сообщений: 1

Регистрация: 02.12.2023

Размещено 11.01.2024 07:06:59

Здравствуйте. Появился ли дешифратор на версию: [email protected] 1.0.0.0 ? (атака была в 2015 году, файлы до сих пор в таком состоянии).

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 11.01.2024 12:13:33

Цитата
К р написал: Здравствуйте. Появился ли дешифратор на версию: [email protected] 1.0.0.0 ? (атака была в 2015 году, файлы до сих пор в таком состоянии).

Можно в этот раздел написать
https://www.safezone.cc/forums/rasshifrovka-fajlov.216/
здесь у ребят большой опыт в расшифровке Crylock/Kryakl по ранним версиям.

[ Как создать образ автозапуска? ]

Пред. 1 2 3 4 5